Um grupo de comerciantes na semana passada disse que $ 22 milhões em criptomoedas foram roubados através de chaves de API comprometidas da plataforma de negociação 3Commas. Na quarta-feira, 3Commas admitiu que era a fonte desse vazamento de API.
O anúncio veio depois que um usuário anônimo do Twitter obteve cerca de 100,000 chaves de API pertencentes a usuários da 3Commas e as publicou online.
3Commas inicialmente insistiu que não havia problema de segurança em seu final, e o cofundador Yuriy Sorokin sugeriu repetidamente no Twitter que um ataque de phishing fez com que os usuários desistissem de seus dados.
Mas na quarta-feira, Sorokin twittou: “Vimos a mensagem do hacker e podemos confirmar que os dados nos arquivos são verdadeiros… Lamentamos que isso tenha chegado tão longe e continuaremos a ser transparentes em nossas comunicações sobre a situação”.
3Commas é uma plataforma que permite aos usuários vincular várias contas de troca de criptomoedas – como aquelas mantidas na Binance – a um software de negociação automatizada. Tudo isso é feito por meio de APIs (interfaces de programação de aplicativos), os mecanismos padronizados que permitem que componentes de software separados se comuniquem e executem tarefas. A ideia é que os humanos não precisam fazer o trabalho duro de pensar sobre seus negócios. Em vez disso, tudo é feito instantaneamente e automaticamente via código.
Até que as pessoas erradas tenham acesso às APIs.
Detetive Blockchain @ZachXBT disse anteriormente no Twitter que havia verificado um grupo de 44 vítimas que perderam um total de US$ 14.8 milhões por meio de chaves de API roubadas da 3Commas.
Em resposta, Sorokin twittou que “Se você é uma vítima, significa que de alguma forma suas chaves vazaram”, mas “não de 3Commas”. Se as chaves de API vazadas fossem da 3Commas, “você teria visto milhões de casos, não cem”, raciocinou.
Em um artigo do segmento separado, ele criticou a “incompetência das grandes fontes da mídia” e questionou a validade de uma planilha de crowdsourcing de contas comprometidas. “Preste atenção que a maioria dos usuários relatando perdas nem abriu um ticket de suporte com a exchange e não procurou a polícia”, tuitou Sorokin. “Como essa informação foi verificada?”
Novamente ele afirmou que houve muito poucos incidentes para que tenha sido um exploit 3Commas. “Existem mais de 1 [milhão] de chaves conectadas ao 3Commas, com cerca de 100 usuários relatando problemas com suas contas”, tuitou Sorokin.. “Por que isso aconteceria se [o banco de dados] vazasse?”
Hoje, um justificado ZachXBT twittou que “por semanas [3Commas] culpou seus usuários e aceitou responsabilidade zero”.
“Você continuou mentindo e dizendo que isso era nossa culpa, em vez de assumir a responsabilidade e evitar novas explorações”, acrescentou @CoinMamba, outro usuário do 3Commas que disse ter perdido fundos. “Você vai reembolsar os usuários agora?”
Esta não é a primeira vez que o 3Commas e sua API são analisados. Cerca de um mês antes da FTX declarar falência, Sam Bankman-Fried concordou em reembolsar US$ 6 milhões aos clientes afetados pelo que foi descrito como um esquema de phishing envolvendo 3 vírgulas.
Na quarta-feira, o CEO da Binance, Changpeng Zhao, twittou que estava “razoavelmente certo” de que havia “vazamentos generalizados de chaves de API” da 3Commas.
CZ acrescentou que os usuários devem desabilitar suas chaves de API em 3Commas. Isso é o que a 3Commas também está recomendando agora.
“Como ação imediata, pedimos que Binance, Kucoin e outras exchanges suportadas revoguem todas as chaves que estavam conectadas ao 3Commas”, tuitou Sorokin.
3Commas não respondeu a um pedido de mais comentários de Descifrar.
Fique por dentro das notícias sobre criptomoedas, receba atualizações diárias em sua caixa de entrada.
Fonte: https://decrypt.co/118094/after-repeated-denials-3commas-admits-it-was-source-for-earlier-hacks
